Vergabe- und Vertragsmanagementsystem (VMS)

Alle Lose zusammen bilden das Gesamtprojekt VMS. Das System, die Dokumentation, die Schulungsunterlagen und der Support sind in deutscher Sprache zu erbringen. Alle Preise sind als All-in-Preise (inkl. Nebenkosten, Reisespesen, Dokumentation) anzugeben. Nachforderungen außerhalb des vereinbarten Leistungsumfangs sind ausgeschlossen. Es gibt keine stillschweigende Abnahme.

Bereitstellung des cloudbasierten VMS als SaaS-Lösung mit Hosting in EU/EWR.

• Lizenzpaket: 90 benannte Nutzende im Bereich Bearbeitung, 15 benannte Nutzende im Bereich Freigabe; weitere Lizenzen für zusätzliche Nutzende (Bearbeitung und/oder Freigabe) sind skalierbar hinzufügbar.
• Sicherheit & Architektur: Mandantentrennung, Least-Privilege-Prinzip, revisionssicheres Logging, Verschlüsselung im Ruhezustand und bei Übertragung, Anbindung an zentrales Identitätsmanagement (SAML 2.0 / OpenID Connect, Mehr-Faktor-Authentifizierung).
• Verfügbarkeit: maximal 3 Serviceunterbrechungen pro Monat, je max. 60 Minuten, insgesamt max. 120 Minuten pro Monat außerhalb des Wartungsfensters. Wartungsfenster wöchentlich sonntags 00:00–06:00 Uhr, geplante Einschränkungen mind. 5 Werktage im Voraus angekündigt.
• Einschränkung: kein Einsatz nicht abgestimmter Zusatzprodukte oder Middleware.

Einführung und Parametrisierung des VMS inkl. Anbindung an Microsoft Dynamics 365 Business Central (BC).

• Schnittstelle: VMS agiert als passiver Endpunkt über REST-API mit mindestens 18 Endpunkten; keine Middleware zwischen VMS und BC.
• Konfiguration (kein Customizing): Rollen- und Rechtekonzept, Vorlagenmanagement, Masken/Plausibilisierungen, Workflows, Schnittstellen zu bund.de und TED sowie E-Mail.
• Testmanagement: Funktions-, End-to-End-, Integrations-/Schnittstellen-, Sicherheits-, Penetration-, Datenschutz-, Performance-/Last- (≤ 2 Sek. bei ≥ 30 Sessions) und Barrierefreiheitstests (BITV).
• Go-Live: mit Cut-Over-Plan, Fallback/Rollback, Hypercare-Phase (4–8 Wochen).
• Dokumentation: der Geschäftsprozesse in BPMN 2.0.

Rollenbasiertes Schulungskonzept mit folgenden Zielgruppen: Key User, Fachanwendende, Entscheidende, Administrator:innen, Service/Helpdesk.

• Schulungsumgebung: separater, produktionsähnlicher Testbereich mit anonymisierten Testdaten.
• Unterlagen: Anwenderhandbuch, Administrator:innenhandbuch, Quick Guides – in deutscher Sprache, barrierefrei nach BITV 2.0.
• Formate: Präsenz oder Live-Online; Administrator:innen-Schulung, Train-the-Trainer und sonstige Schulungsformate.
• Qualitätssicherung: Teilnahmenachweise und Erfolgskontrollen je Rolle.
• Wichtig: Schulungsleistungen dürfen nicht an Nachunternehmer vergeben werden – Bieter muss diese zwingend selbst erbringen.

Laufender Betriebssupport, Fehlerbehebung, regelmäßige Updates und Patches (CVSS-gestützt: kritisch ≤ 24–72 Std., hoch ≤ 7 Tage, mittel ≤ 30 Tage).

• Backup: täglich inkrementell, wöchentlich Full, mindestens 30 Tage Aufbewahrung (empfohlen 90 Tage), geographisch separater Standort.
• Restore-Tests: halbjährlich (RTO max. 8 Std., RPO max. 1 Std.).
• Helpdesk: deutschsprachig, werktags 08:00–18:00 Uhr, Ticketsystem, strukturiertes Incident-/Problem-/Eskalationsmanagement.
• Reaktions-/Wiederherstellungszeiten: P1 (Produktionsausfall) Reaktion ≤ 1 Std.; P2 (kritische Einschränkung) Reaktion ≤ 4 Std., Wiederherstellung 1–2 Arbeitstage; P3 (Funktion beeinträchtigt) Reaktion ≤ 1 Arbeitstag, Wiederherstellung 5 Arbeitstage; P4 (geringfügig) Reaktion ≤ 2–3 Arbeitstage, Wiederherstellung 10 Arbeitstage.
• SLA-Reporting: quartalsweise.
• Exit-Management: vollständiger Datenexport in offenen Formaten (CSV, XML, PDF/A), Übergabe von Konfigurationen und Dokumentationen, datenschutzkonforme Löschung. Datenexport auf Anforderung innerhalb von 10 Werktagen.

Zusatzleistungen außerhalb des vereinbarten Leistungsumfangs, z. B. avisierter Aufwand für künftige DocuWare-Anbindung.

• Verfahren: schriftliches Antragsverfahren mit Impact-Analyse; Umsetzung nur nach schriftlicher Änderungsvereinbarung.
• Abrechnung: nach Aufwand oder zum Festpreis gemäß Change-Request-Beschreibung.
• Personenprofile für Tagessätze:
• Senior: mind. 5 Jahre einschlägige Berufserfahrung + besondere Expertise (z. B. Product/Service Owner, Architekt:in, Senior-Entwickler:innen)
• Standard: mind. 2 Jahre einschlägige Berufserfahrung (z. B. Projektleitung, Entwickler:innen, Tester:innen, Change-Manager)
• Junior/Support: einschlägiges Studium oder Ausbildung (z. B. Junior-Entwickler:innen)

Bieter darf nicht unter die zwingenden Ausschlussgründe nach §§ 123 oder 124 GWB fallen. Alternativ können selbstreinigende Maßnahmen gemäß § 125 GWB nachgewiesen werden. Für Unternehmen mit Sitz in Deutschland zusätzlich: keine Geldbuße ≥ 2.500 € nach § 21 MiLoG (Mindestlohngesetz). Während des Vergabeverfahrens neu eintretende Ausschlussgründe sind dem Auftraggeber unverzüglich mitzuteilen.

• Mindestumsatz: Gesamtumsatz von mindestens 1.000.000 € in jedem der letzten drei abgeschlossenen Geschäftsjahre (Nachweis über Eigenerklärung).
• Beschäftigtenzahl: Angabe der Mitarbeitendenzahl (Stichtag 31.12. des jeweiligen Geschäftsjahres).
• Haftpflichtversicherung: Nachweis einer Betriebshaftpflichtversicherung mit mind. 1 Mio. € Deckungssumme für Sach- und Vermögensschäden je Schadensfall, oder verbindliche Erklärung eines Versicherers.

• Referenzen: Nachweis von 3 vergleichbaren Projekten der letzten 5 Jahre (Details siehe Referenzprojekte).
• Hosting-Architektur: Beschreibung der Cloud-Region (EU/EWR) und Nachweise zu ISO 27001 und/oder BSI C5.
• Datenschutz/IT-Sicherheit/BCM: Dokumentation der Verfahren und Verantwortlichkeiten.
• Entwicklungsmethodik: Agile/DevOps.
• Support-/Ticketsystem: ITIL-basiert.
• Qualitätsmanagement: ISO 9001 oder gleichwertig; alternativ ausführliche Beschreibung mit Prozessdarstellung, Verantwortlichkeiten und regelmäßiger Auditierung.
• AVV: Bereitschaft zum Abschluss einer Vereinbarung zur Auftragsverarbeitung gem. Art. 28 DSGVO auf Basis EU-Standardvertragsklauseln; Angaben gemäß Anhang II und III des AVV-Dokuments (15_AVV) bereits mit Angebotsabgabe.

• Schulungen (LB3): Nachunternehmereinsatz ist ausgeschlossen – Bieter muss Schulungsleistungen zwingend selbst erbringen (Eignungsvoraussetzung).
• Datenschutz: TOMs nach Art. 32 DSGVO sowie Beschreibung der Datenverarbeitung gemäß Anhang II AVV.
• Bietergemeinschaften: alle Mitglieder müssen Eignungsnachweise erbringen, sofern nicht abweichend geregelt; Federführer ist zu benennen; geplante Arbeitsteilung ist darzustellen.
• Unterauftragnehmer: Erklärung zum Einsatz erforderlich (vollständige Firma, Sitz, Umfang der Leistungen); Eignungsnachweise sind auch von Nachunternehmern vorzulegen.

• Sprache: Deutsch; fremdsprachige Nachweise mit Übersetzung beifügen.
• Vollständigkeit: alle geforderten Anlagen als Bestandteil des Angebots kennzeichnen; unvollständige Angebote können nachgefordert werden.
• Änderungen: durchstreichen, richtig daneben ergänzen, mit Paraphe kennzeichnen.
• Nebenangebote: nicht zugelassen.
• Verhandlungen: finden nicht statt.
• Zuschlag: wirtschaftlichstes Angebot (Wertungskennzahl = Qualitätspunktzahl / Preis); bei Gleichstand entscheidet die höhere Qualitätspunktzahl, dann Losentscheid.